jlkinsel/clair

Clair镜像（jlkinsel/clair）

镜像概述

jlkinsel/clair是CoreOS Clair的调整版镜像，Clair是开源的容器漏洞静态分析工具，支持Docker和appc格式容器。它通过摄入漏洞元数据、索引镜像安装包、实时关联漏洞信息，帮助用户透明了解容器化基础设施的安全状况。

核心功能

1. 漏洞元数据摄入：定期从配置数据源获取漏洞元数据并存储到数据库。
2. 镜像索引：通过API解析容器镜像中的已安装源包并存储。
3. 实时查询：API实时关联漏洞数据，无需重新扫描缓存结果。
4. 更新通知：漏洞元数据更新时，可通过webhook通知受影响镜像，支持阻止或告警部署。

使用场景

• 检查互联网镜像是否安全可用於生产环境。
• 生产环境部署前，告警或阻止含不安全软件的容器部署。

配置说明

Clair依赖PostgreSQL数据库，兼容版本为9.4、9.5、9.6。需在配置文件中设置数据库连接（如postgresql://postgres:password@postgres:5432?sslmode=disable）。

部署示例

Docker Compose部署

sh
curl -L https://raw.githubusercontent.com/coreos/clair/master/docker-compose.yml -o $HOME/docker-compose.yml
mkdir $HOME/clair_config
curl -L https://raw.githubusercontent.com/coreos/clair/master/config.example.yaml -o $HOME/clair_config/config.yaml
# 编辑config.yaml设置数据库源
docker-compose -f $HOME/docker-compose.yml up -d
# 若Clair启动早于Postgres，手动启动：docker-compose start clair

Docker单独部署

sh
mkdir $PWD/clair_config
curl -L https://raw.githubusercontent.com/coreos/clair/master/config.example.yaml -o $PWD/clair_config/config.yaml
# 启动Postgres
docker run -d -e POSTGRES_PASSWORD="" -p 5432:5432 postgres:9.6
# 启动Clair
docker run -d -p 6060-6061:6060-6061 -v $PWD/clair_config:/config quay.io/coreos/clair-git:latest -config=/config/config.yaml

Kubernetes部署

sh
git clone https://github.com/coreos/clair
cd clair/contrib/k8s
kubectl create secret generic clairsecret --from-file=./config.yaml
kubectl create -f clair-kubernetes.yaml